Лист Державної служби України з питань захисту персональних даних від 20.08.2012 р. №10/3905-12
Щодо окремих питань, пов'язаних з обробкою персональних даних
Суттєво. Якщо володільцем бази персональних даних не здійснюється обробка відомостей про інших фізичних осіб (контрагентів, працівників, клієнтів та ін.), він не має бази персональних даних.
! Всім СГД
Державна служба України з питань захисту персональних даних розглянула Ваше звернення <...> щодо окремих питань, пов'язаних з обробкою персональних даних, і в межах компетенції повідомляє таке.
З урахуванням термінів, наведених у статті 2 Закону України «Про захист персональних даних» (далі — Закон), персональні дані — це відомості або сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. Тобто персональні дані — це будь-яка інформація, за якою фізичну особу може бути ідентифіковано безпосередньо або опосередковано, зокрема, прізвище, ім'я, по батькові, адреса проживання, контактний телефон, дата народження, IP-адреса тощо.
Первинними джерелами відомостей про фізичну особу є: видані на її ім'я документи; підписані нею документи; відомості, які особа надає про себе (частина четверта статті 6 Закону).
Володілець бази персональних даних — фізична або юридична особа, якій законом або з відома суб'єкта персональних даних надане право на обробку цих даних, яка затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних і процедури їх обробки, якщо інше не визначено законом (стаття 2 Закону).
Iменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних, щодо якої здійснюється дія або сукупність дій, пов'язаних зі збором, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичних осіб (контрагентів, працівників, клієнтів та ін.), може становити одну базу персональних даних або кілька баз персональних даних залежно від мети такої обробки, категорій персональних даних і суб'єктів, чиї персональні дані обробляються.
Проте власник бази персональних даних самостійно приймає рішення про те, чи є та чи інша сукупність персональних даних фізичних осіб, які перебувають у його володінні, базою персональних даних.
Усі бази персональних даних згідно зі статтею 9 Закону підлягають державній реєстрації в порядку, встановленому Положенням про Державний реєстр баз персональних даних і порядок його ведення, затвердженим постановою Кабінету Міністрів України від 25.05.2011 р. №616, і Наказом Міністерства юстиції України від 08.07.2011 р. №1824/5 «Про затвердження форм заяв про реєстрацію бази персональних даних і про внесення змін до відомостей Державного реєстру баз персональних даних і порядку їх надання», зареєстрованим у Міністерстві юстиції України 19.07.2011 р. за №890/19628.
У разі якщо володільцем бази персональних даних не здійснюється обробка відомостей про інших фізичних осіб (контрагентів, працівників, клієнтів та ін.), він не має бази персональних даних.
У такому разі подавати заяву про реєстрацію бази персональних даних, у тому числі надавати відомості про володільця бази персональних даних, який не здійснює обробку персональних даних інших фізичних осіб, не вимагається Законом.
Голова Служби О. МЕРВIНСЬКИЙ